PHP ha publicado actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas que afectan a servidores y aplicaciones web. Ambas presentan una puntuación CVSS de 9,2 sobre 10.
El equipo de seguridad de PHP ha anunciado este 21 de octubre de 2026 la publicación de nuevas versiones que corrigen dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619.
Estos fallos pueden permitir que un atacante ejecute código de forma remota sin necesidad de autenticarse, lo que supone un riesgo importante para sitios web, aplicaciones empresariales y servidores que utilizan PHP.
Las vulnerabilidades afectan a distintas configuraciones de PHP, incluyendo entornos con Apache, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed.
¿En qué consisten las vulnerabilidades?
Las dos vulnerabilidades están relacionadas con problemas en la gestión de memoria y del estado interno de PHP.
CVE-2026-109618: corrupción durante la gestión de memoria
El primer fallo se produce cuando PHP gestiona determinadas situaciones de agotamiento de memoria. En estas circunstancias, algunos datos internos pueden quedar parcialmente inicializados y posteriormente ser procesados de forma incorrecta.
Esta condición puede aprovecharse para provocar corrupción de memoria y, bajo determinadas circunstancias, ejecutar código arbitrario.
CVE-2026-109619: reutilización de estados internos inválidos
La segunda vulnerabilidad está relacionada con información interna que puede permanecer accesible después de que la memoria asociada haya sido liberada.
Cuando un mismo proceso atiende nuevas peticiones, podría reutilizar información inválida antes de que sus estructuras internas se inicialicen correctamente.
El fallo puede derivar en ejecución remota de código sin autenticación.
¿Qué servidores pueden verse afectados?
Según el aviso de seguridad publicado por PHP, deben revisar sus instalaciones todos los administradores que utilicen PHP para procesar peticiones web.
Entre los entornos afectados se encuentran:
- Servidores Apache que utilizan mod_php.
- Instalaciones con Nginx y PHP-FPM.
- Servidores que ejecutan PHP mediante php-cgi.
- Entornos que utilizan FrankenPHP.
- Servidores web basados en LiteSpeed.
El equipo de PHP considera especialmente preocupantes las instalaciones con Apache y mod_php, ya que se ha demostrado una vía de explotación que puede activarse antes de que se ejecute el código de la aplicación.
Esto implica que disponer de una aplicación correctamente desarrollada no elimina por sí solo el riesgo.
Versiones de PHP corregidas
Para solucionar las vulnerabilidades, el equipo de PHP ha publicado las siguientes actualizaciones:
| Rama PHP | Versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Las instalaciones que utilicen versiones anteriores dentro de estas ramas deben actualizarse.
En el caso de PHP 8.1 y versiones anteriores, el proyecto oficial ya no proporciona mantenimiento de seguridad. Algunos proveedores de distribuciones Linux ofrecen parches retroportados, por lo que es importante consultar las actualizaciones disponibles para cada sistema.
¿Cómo proteger tu servidor?
La principal recomendación es actualizar PHP inmediatamente a una versión corregida.
Antes de realizar cualquier cambio en producción, es aconsejable crear una copia de seguridad y comprobar la compatibilidad de las aplicaciones alojadas.
Los administradores pueden consultar la versión instalada mediante:
php -vEn servidores Debian o Ubuntu con paquetes gestionados mediante APT, pueden consultar las actualizaciones disponibles utilizando:
sudo apt update
apt list --upgradableLa instalación del parche dependerá de la distribución, los repositorios configurados y la versión de PHP utilizada.
También es recomendable comprobar qué versión ejecuta realmente el servidor web, ya que la versión de PHP utilizada desde la terminal puede ser diferente de la empleada por PHP-FPM o Apache.
Una vez aplicada la actualización, deben reiniciarse los procesos correspondientes y verificarse que las aplicaciones funcionan correctamente.
El equipo de PHP también ha publicado medidas temporales para reducir determinados escenarios de explotación. Sin embargo, advierte que estas medidas no ofrecen una protección completa y no sustituyen la actualización.
La importancia de mantener PHP actualizado
PHP continúa siendo una tecnología ampliamente utilizada en sitios web, aplicaciones empresariales, gestores de contenidos y plataformas de comercio electrónico.
Por este motivo, una vulnerabilidad crítica en su funcionamiento interno puede afectar a numerosos servicios, incluso cuando las aplicaciones no presentan fallos evidentes en su propio código.
Mantener actualizado el lenguaje, sus extensiones y el sistema operativo es una medida fundamental para reducir la exposición a ataques.
Desde ColdHosting recomendamos revisar cuanto antes las versiones de PHP utilizadas en servidores VPS y entornos de alojamiento web, especialmente aquellos que ofrecen servicios accesibles públicamente.
La aplicación de los parches publicados el 21 de octubre de 2026 debe considerarse prioritaria.
